AWS Organizations環境でのAWS Healthイベント通知の構成パターンを考えてみた
はじめに
AWS Healthイベントには、以下の2種類があります。
- アカウント固有イベント：特定のAWSアカウントに影響するイベント
- パブリックイベント：すべてのAWSユーザーに影響する可能性がある、サービスの可用性に関するイベント
AWS User Notificationsでは、以下の2つの通知方式が利用できます。
- AWS管理通知：アカウント固有イベントのみを通知
- ユーザー設定通知：アカウント固有イベントとパブリックイベントの両方を通知
本記事では、AWS Organizations環境において、AWS Healthイベントを通知する際、これらの通知方式を組み合わせた2つの構成パターンを紹介します。
パターン1：管理アカウントでの集約通知（中央集権型）
要件
このパターンは、以下の要件に適しています。
- 1つのメールアドレス（1つの管理者またはチーム）で通知を受信する
- パブリックイベントイベントは、組織全体の利用リージョンを通知対象とする。利用しないリージョンのイベントは必要ない。
アカウント固有イベントの通知構成
AWS User NotificationsのAWS管理通知を使用します。この方式では、以下のメリットがあります。
- 全アカウントのイベントが管理アカウントに自動的に集約
- 全リージョンを対象とした通知が可能
- Organizations統合により、アカウントの追加・削除時も設定変更不要
詳細な設定手順については、以下の記事を参照してください。
なお、Amazon EventBridgeルールを各アカウント、各利用リージョンで作成する、構成でも通知可能です。ただし、この構成では通知が集約されず、個別に通知を受け取ることになります。
そのため、設定も容易であるAWS User NotificationsのAWS管理通知を推奨します。
パブリックイベントの通知構成
パブリックイベントの通知には、EventBridgeまたはAWS User Notificationsのユーザー設定通知を使用します。
AWS Healthイベントは、冗長性を確保するために複数のリージョンに配信されます。
パブリックイベントは該当リージョンとバックアップリージョン（通常はus-west-2）の両方に配信され、アカウント固有イベントは該当リージョンのみに配信されます。
グローバルイベントは、us-east-1とus-west-2に配信されます。
以下の表は、AWS Healthイベントの配信リージョンとバックアップ配信の関係を示しています。
| イベント種別 | 配信リージョン | バックアップ配信 |
|---|---|---|
| パブリック（グローバル） | us-east-1 | us-west-2 |
| パブリック（リージョン固有） | 該当リージョン | us-west-2 |
| アカウント固有（グローバル） | us-east-1 | なし |
| アカウント固有（リージョン固有） | 該当リージョン | なし |
方式A：EventBridgeを使用する場合
EventBridgeを使用する場合の構成は、以下のとおりです。
1つのアカウント（管理アカウントや代表アカウント）で利用リージョンごとにEventBridgeルールを作成します。その際、ターゲットに管理者のメールアドレスを設定します。
EventBridgeのイベントパターンでは、Healthイベントのうち、パブリックイベントのみをトリガーにさせることも可能です。
（eventScopeCodeをACCOUNT_SPECIFICにすると、アカウント固有イベントのみトリガー可能）
{
"source": ["aws.health"],
"detail": {
"eventScopeCode": ["PUBLIC"]
}
}
基本的にはすべてのリージョンでEventBridgeがサポートされているため、どのリージョンでも通知可能です。
この方式では冗長化を考慮していません。バックアップ配信リージョン（us-west-2）でもEventBridgeルールを作成すると、同じイベントで2通の通知が送信される点に注意が必要です。
ただし、イベントパターンに以下の設定をすることで、バックアップリージョンとして配信されたイベントを除外できます。
{
"source": ["aws.health"],
"detail": {
"eventScopeCode": ["PUBLIC"],
"backupEvent": ["false"]
}
}
この設定により、us-west-2がプライマリリージョンとして受信したイベントのみが通知され、他のリージョンのバックアップとして配信されたイベントは通知されません。
backupEventパラメータ
"backupEvent": "false"→ プライマリリージョンで受信した通常イベント"backupEvent": "true"→ バックアップリージョンで受信した冗長化イベント
backupEventを未設定の場合、どちらも通知されます。
方式B：AWS User Notificationsのユーザー設定通知を使用する場合
AWS User Notificationsのユーザー設定通知を使用する場合、管理アカウントで利用リージョンごとにユーザー設定通知を作成します。
バックアップリージョン（us-west-2）でも通知設定を行うことで冗長化が可能です。
集約機能により、該当リージョンとバックアップリージョンから送信される重複イベントを1通にまとめることができます。
ただし、この方式には制約があります。AWS User Notificationsがサポートしていないリージョンでは設定できません。利用リージョンがサポート対象外の場合、方式Aを選択する必要があります。
推奨する選択基準
利用リージョンに応じて、以下の基準で選択することを推奨します。
- 利用リージョンがAWS User Notificationsのサポート対象外の場合：方式A（EventBridge）を採用
- 利用リージョンがサポート対象の場合：方式B（ユーザー設定通知）を採用
- 冗長化が可能
- 重複イベントを集約して1通で通知
- HTML形式のリッチな通知内容（通知文はカスタマイズ不可）
パターン2：アカウントごとの個別通知（分散管理型）
要件
このパターンは、以下の要件に適しています。
- アカウントごとに管理者が異なり、通知先をアカウント別に設定する必要がある
- 一部の管理者が複数アカウントを管理している
- アカウントごとに利用リージョンが異なる
- パブリックイベントは、各アカウントの利用リージョンのみを通知対象とする。利用しないリージョンのイベントは必要ない。
アカウント固有イベントの通知構成
EventBridgeを使用した構成を推奨します。
各アカウントごと、利用リージョンごとにEventBridgeルールを作成し、ターゲットに各アカウントの管理者のメールアドレスを設定します。
この方式では、イベントは集約されず、各アカウントで個別に通知されます。
AWS管理通知を採用しない理由
AWS管理通知では、各メンバーアカウントのイベントも管理アカウントに通知されてしまいます。
Organizations統合を無効化することで、各メンバーアカウントのイベントが管理アカウントに通知されないようにすることは可能です。
しかし、現在AWS管理通知はHealthイベントのアカウント固有イベントのみを対象としていますが、将来的に他のサービスのイベントも通知対象となる可能性があります。
その際、Organizations統合を無効化していると、管理アカウントで他の通知を集約できなくなるリスクがあります。
そのため、より柔軟な制御が可能なEventBridgeの使用を推奨します。
パブリックイベントの通知構成
パブリックイベントの通知には、EventBridgeまたはAWS User Notificationsのユーザー設定通知を使用します。
方式A：EventBridgeを使用する場合
EventBridgeを使用する場合、管理アカウントまたは代表アカウントで利用リージョンごとにEventBridgeルールを作成し、通知先を管理者ごとに設定する構成になります。
方式B：AWS User Notificationsのユーザー設定通知を使用する場合
AWS User Notificationsのユーザー設定通知を使用する場合、管理アカウントまたは代表アカウントで利用リージョンごとにユーザー設定通知を作成します。
各リージョンの通知先は、そのリージョンを利用するアカウントの管理者に設定します。
ただし、AWS User Notificationsがサポートしていないリージョンでは設定できません。
推奨する選択基準
利用リージョンに応じて、以下の基準で選択することを推奨します。
- 利用リージョンがAWS User Notificationsのサポート対象外の場合：方式A（EventBridge）を採用
- 利用リージョンがサポート対象の場合：方式B（ユーザー設定通知）を採用
- HTML形式のリッチな通知内容（通知文はカスタマイズ不可）
分散管理型の運用負荷
パターン2の分散管理型では、パターン1の中央集権型と比較して、運用負荷が増加します。
具体的には、各リージョンに対して通知先となる管理者を設定する必要があるため、リージョンごとの通知先管理が必要となります。
特に管理者の増減が発生した場合、複数リージョンで設定変更を行う必要があります。
パブリックイベントを各管理者に通知するかどうかは、この運用負荷を考慮して判断してください。
最後に
本記事では、AWS Organizations環境におけるAWS Healthイベント通知の構成パターンとして、中央集権型と分散管理型の2つを紹介しました。
組織の管理体制や要件に応じて、適切な構成を選択する際に、本記事が参考になれば幸いです。
